Also...da das letztes Mal angesprochen wurde, dachte ich mir jetzt einfach mal, einen "Sammelthread" für den Switch Bereich zu erstellen. Besser spät als nie, oder?

Um mal "von ganz vorne" anzufangen mit dem "Urschleim". Also erstmal, gibt es zwei verschiedene Revisionen der Switch. Die 2017er und 2019er Versionen. 2017=Erista, 2019=Mariko. Eigentlich drei. Aber die iPatched Konsolen besitzen nur die gefixte Bootrom. Daher reden wir hier mal nur von zwei Revisionen. Die erste Revision hat einen Exploit, welcher per Firmwareupdate nicht behoben werden kann. Wird auch Fusée Gelée genannt. Oder auch shofEL2. Weitere Details finden Interessierte hier.


Ist der besagte Exploit von dem wir Gebrauch machen. Er nutzt einen Fehler im Tegra Recovery Mode (RCM - ReCoveryMode) aus. Wie gesagt, der kann nicht per Firmwareupdate gefixt werden. Bootrom=Read-only Memory. Um in den RCM booten zu können benötigen wir entweder einen Jig (siehe hier) oder eine zurechtgebogene Büroklammer bzw. ein Kabel ginge auch. Früher (also bevor die Jigs massig verkauft wurden) hatte man nichts anderes als eben Kabel oder Büroklammer. Alternativ ginge auch etwas komplett anderes. Setzt aber den Umgang mit Werkzeug voraus. Dafür müssten wir die Konsole aufschrauben und den eMMC Chip vom Board abklemmen. Und da kann auch vielleicht schon was kaputtgehen. Zurück zum Thema. Um in den RCM zu booten muss Pin 10 kurzgeschlossen werden (rechte Schiene) damit der Homebutton der Konsole "gedrückt" wird. Die Konsole selber hat aber keinen Homebutton. Deswegen der Kurzschluss. Also wenn der Bildschirm der Konsole zu euch zeigt, ist der hintere Pin, Pin 10. Der kann mit Pin 1, Pin 7 oder auch (wenn ich mich gerade richtig erinnere) Pin 9 kurzgeschlossen werden. Auch die Schiene oder auch die Kühlrippen würden funktionieren. Nutzt nicht Pin 4. Dort liegen 5V. Und das röstet eure Konsole. Aber da es Jigs gibt, ist Pin 1 nur für uns von Nutzen. Mit eingestecktem Jig, muss jetzt Vol+ und Power gleichzeitig gedrückt werden. Am besten für 1 oder 2 Sekunden gedrückt halten. Wenn der Bildschirm schwarz bleibt, heißt das, dass wir im RCM sind. Die Konsole darf nicht normal booten. Dann müssen wir es erneut versuchen. Ab hier können wir Payloads an die Konsole senden. Und die werden akzeptiert (eine Anleitung dafür folgt sehr wahrscheinlich auch noch). Wenn die Payload dann gesendet wurde, solltet ihr auf dem Bildschirm der Konsole etwas sehen (je nachdem was für eine Payload ihr sendet). Speaking of Payload, bitte führt keine Payloads aus, wenn ihr nicht wisst, wo sie herkommen und was sie machen! Es gab in der Vergangenheit Payloads, die die Konsolen gebrickt/unbrauchbar gemacht haben! Hier ein Wiki. Und bitte, nutzt nicht die Payloads die dort noch zu finden sind. Die dienen lediglich zur Information (es steht übrigens auch da was diese machen). Wem das mit dem Jig zu doof ist, kann entweder AutoRCM aktivieren, oder einen Modchip verlöten. Setzt aber natürlich auch gewisses Fingergeschick voraus. Denn die Lötpunkte sind ziemlich klein. Folgende Modchips können verbaut werden: Trinket M0 oder RCM x86. Hier eine Demonstration vom Trinket M0.


AutoRCM ist sozusagen ein "kontrollierter Brick". Hier werden die ersten Bytes jedes BCT Public-Keys im BOOT0 korrumpiert (oder auch gefixt). Einfach ausgedrückt, heißt das, dass die Konsole jedes Mal automatisch in den RCM gebootet wird wenn sie "kaltgestartet" (Coldboot) wird. Die Konsole wird also "panisch" und denkt, dass sie gebrickt ist. Wenn AutoRCM aktiviert ist, braucht man keinen Jig mehr. Also die Pins brauchen dann auch nicht überbrückt/kurzgeschlossen werden. Logisch, da die Konsole ja automatisch in den RCM bootet.


Hier schon mal eine Warnung vor dem Dateisystem exFAT. Das führt zu Datenverlust. Das Problem hierbei ist, dass Nintendo's FAT Treiber fehlerhaft ist. Der ändert ständig Dateien und Ordner. Und das selbst bei simplen Lesevorgängen. Heißt also, dass Änderungen nie korrekt mit dem Dateisystem synchronisiert werden. Das bedeutet also, dass beim "unsauberen" Beenden einer Anwendung/einem Reboot/dem Herunterfahren die Datei-Handler verloren gehen und somit anschließend in der File Allocation Table fehlen. Das kann auch bei FAT32 passieren. Aber im Gegensatz zu FAT32 besitzt exFAT keine zweite Backup File Allocation Table. Somit sind Dateien und Ordner unwiederbringlich verloren. Eure Speicherstände sind nicht davon betroffen. Die sind im eMMC gespeichert. Und der ist mit FAT32 formatiert.


Hierzu schweife ich nicht zu sehr aus. Bzw. gibt es nicht allzu viel dazu zu sagen. Seit Juli 2018 gibt es aber sogenannte "iPatched" Konsolen (die wurde "still" released). Dabei handelt es sich aber nicht um die Mariko Revision (die aus dem roten Karton). Dort wurde lediglich die Bootrom gefixt. Heißt im Endeffekt also, dass diese NICHT auf jeder Firmware per Bootrom-Exploit gemoddet werden können. Payloads können also nicht an solche Konsolen gesendet werden. Logisch, da der Exploit gefixt wurde. Aber das Gute hierbei ist, dass diese Konsolen mit der Firmware 4.1.0 ausgeliefert werden. Und dort kann aber auch eine CFW ausgeführt werden. Setzt aber wie gesagt Firmware 4.1.0 voraus. Rein theoretisch bis 7.0.1. Aber da gibt es irgendwie noch nichts (und wird es wahrscheinlich auch nie). Und diese Konsolen dürfen nicht ohne "Sicherheitsvorkehrungen" mit dem Internet verbunden werden. Wenn ihr doch die Meldung bekommt, dass ihr die Konsole zuerst updaten müsst, heißt das, dass ihr einen Supernag habt. Daran führt auf diesen Konsolen kein Weg vorbei. Per Fusée Gelée ist das Ganze jedoch patchbar. Aber da ist die Firmware so oder so egal. Anbei gleich mal eine Übersicht der Seriennummern. Anhand dieser könnt ihr leicht herausfinden ob eure Konsole per Bootrom Exploit gehackt werden kann oder nicht.

Seriennummern beginnend mit XAW1:
Seriennummern zwischen XAW10000000000 - XAW10074000000 sind nicht gepatched
Seriennummern zwischen XAW10075000000 - XAW10120000000 sind möglicherweise gepatched
Alles darüber XAW10120000000 sind definitiv gepatched

Seriennummern beginnend mit XAW4:
Seriennummern zwischen XAW40000000000 - XAW40011000000 sind nicht gepatched
Seriennummern zwischen XAW40011000000 - XAW40012000000 sind möglicherweise gepatched
Alles darüber XAW40012000000 sind definitiv gepatched

Seriennummern beginnend mit XAW7:
Seriennummern zwischen XAW70000000000 - XAW70017500000 sind nicht gepatched
Seriennummern zwischen XAW70017500000 - XAW70030000000 sind möglicherweise gepatched
Alles darüber XAW70030000000 sind definitiv gepatched

Seriennummern beginnend mit XAJ1:
Seriennummern zwischen XAJ10000000000 - XAJ10020000000 sind nicht gepatched
Seriennummern zwischen XAJ10020000000 - XAJ10030000000 sind möglicherweise gepatched
Alles darüber XAJ10030000000 sind definitiv gepatched

Seriennummern beginnend mit XAJ4:
Seriennummern zwischen XAJ40000000000 - XAJ40046000000 sind nicht gepatched
Seriennummern zwischen XAJ40046000000 - XAJ40083000000 sind möglicherweise gepatched
Alles darüber XAJ40083000000 sind definitiv gepatched

Seriennummern beginnend mit XAJ7:
Seriennummern zwischen XAJ70000000000 - XAJ70040000000 sind nicht gepatched
Seriennummern zwischen XAJ70040000000 - XAJ70050000000 sind möglicherweise gepatched
Alles darüber XAJ70050000000 sind definitiv gepatched

Seriennummern beginnend mit XAW9:
Das sind Konsolen die von einer Reparatur von Nintendo zurückgekommen sind. Keine genauen Infos vorhanden. Aber höchstwahrscheinlich sind die alle gepatched.

Seriennummern beginnend mit XAK:
Darüber gibt es ebenfalls keine genaueren Informationen weil die nur in Korea verkauft wurden. Aber ich wüsste nicht, warum auf solchen Konsolen der Fusée Gelée Exploit nicht funktionieren sollte.

Seriennummern beginnend mit XKW, XWW, XJW, und XKJ:
Diese Konsolen besitzen die neue Mainboard Revision "Mariko". Und die sind ALLE gepatched.

Wie im Fall der XAW9 Konsolen bspw. seht ihr also, wenn ihr eure Konsolen (also die mit Bootrom Exploit) bei Nintendo einsendet, bekommt ihr eine gepatchte zurück. Definitiv! Deswegen, geht vorsichtig mit den Dingern um. Die werden nicht mehr hergestellt. Bei den gelben Seriennummern habt ihr eine 50/50 Chance eine ungepatchte Konsole zu besitzen. Oder eben eine gepatchte. Da bleibt euch nur die Möglichkeit, eine Payload an die Konsole zu senden und zu warten ob sich etwas auf dem Bildschirm tut. Bleibt das Bild schwarz, ist sie gepatched. Hier bietet sich gut die Lockpick_RCM Payload bspw. an. Die benötigt keine Dateien auf der SD Karte und hat ein eigenes Menü.


Hier gehe ich ein wenig auf den Exploit der gepatchten Konsolen ein. Das ist ein Warmboot Exploit. Dieser funktioniert auf den Firmwares 2.0.0 bis 3.0.0, sowie 4.0.1 und 4.1.0. 4.0.0 wird nicht unterstützt. Dort wird per Browser mit einem DNS Server (früher PegaSwitch, heute PegaScape) eine CFW ausgeführt. caffeine ermöglicht die Ausführung einer CFW ohne Zusatzhardware (Jig, Dongle, PC oder Smartphone). Das klappt auch auf ungepatchten Konsolen. Allerdings ist es auf solchen Konsolen deutlich einfacher Fusée Gelée zu verwenden. Generell sollte sowohl bei gepatchten und ungepatchten Konsolen ein emuMMC eingerichtet werden. Und updaten sollte man gepatchte Konsolen dann auch nicht mehr. Da der Exploit mit der Firmware 8.0.0 gefixt wurde. Und ab 8.0.0 gibt es keine TrustZone Bugs mehr.


Ist auch ein Warmboot Exploit. Allerdings nur für Firmware 1.0.0. Auch hier bietet sich wieder Fusée Gelée an. Dieser Exploit läuft ebenfalls über PegaScape. Benötigt aber eine originale japanische Version von Puyo Puyo Tetris. Alles was ich über diesen Exploit sagen kann, ist, dass dieser Exploit eine Schwachstelle in der Tegra X1 Bootrom ausnutzt. Und der kann auch nur per neuer Hardware Revision gefixt werden. Also rein theoretisch wäre auch damit etwas möglich. Aber in der Firmware 2.X wurde etwas in den RAM Parametern geändert. Dadurch sind natürlich komplexere Exploits vonnöten. Deswegen läuft nereba noch nicht mit Firmware 2.X.


Ebenfalls ein Exploit. Dieser nutzt eine "Eigenart" von fsp-ldr aus. Darüber weiß ich nicht wirklich viel. Hat was mit dem Dateisystem der Konsole zu tun. Details findet ihr hier. Sofern ihr Code lesen könnt.


Das sind die Konsolen die ich oben angemerkt hatte. Die wurden 2019 released und kommen in einer roten Box. Auf diesen Konsolen geht gar kein Softwarehax da sie mit Firmware 8.0.0 ausgeliefert werden. Und wird es wahrscheinlich auch nie lt. SciresM (Dev von Atmosphère). Deswegen gibt es für diese Konsolen den SX Core oder SX Lite. SX Core ist für die reguläre Switch und der SX Lite eben für die Switch Lite. Laut meinem Wissensstand, ist die Nutzung dieser Chips ebenfalls nicht von Nintendo patchbar. Nur eben wieder mit einer neuen Hardware Revision. Problem hierbei ist, dass Nintendo diese Chips nicht geduldet hat und dagegen vorgegangen ist. Und 3 Leute (die "Anführer" der Truppe iirc) wurden auch schon eingebuchtet. Und früher liefen auf den Chips nur SX OS. Da die Firmware aber gedumpt wurde konnten die Dinger letztes Jahr genauer analysiert werden. Und mittlerweile kann man auch andere Firmwares auf die Dinger flashen (Spacecraft NX) um somit Atmosphère+Hekate zu nutzen. Was auf langer Sicht auch sinnvoller ist da SX OS aktuell nur bis Firmware 11.0.0 unterstützt wird. Wer also Firmware-technisch auf dem neuesten Stand bleiben will, muss zu Atmosphère greifen.

Am 11.10.2021 wurde die OLED Switch bereits gehackt. In einem Video wird der Hekate Bootloader gezeigt. Genutzt wird dort ein SX Core Klon namens "Hwfly". Mittlerweile gibt es bereits die vierte Revision von diesen Chips. Darüber hinaus, muss man den SX Lite Klon nehmen (logisch, da der eMMC nicht abnehmbar ist). Diese Chips sind nicht wieder beschreibbar. Kommen aber jedoch mit Spacecraft-NX. Einer alternativen Firmware für den SX Core/SX Lite damit eigene Payloads gebootet werden können. Atmosphère und Hekate sind bereits an die neuen Konsolen angepasst worden. Es lässt sich also eine CFW auf den Dingern starten. Nintendo, bzw. NVIDIA haben nichts am Chip geändert um unsignierte Codeausführung zu verhindern.


Das scheint erstmal alles zu sein was ich aktuell so weiß. Eine Anleitung für die Einrichtung eines emuMMC kann ich auch noch hier ins Forum packen. Wenn es Fragen gibt, stellt sie einfach. Ich versuche dann sie nach bestem Wissen (und vielleicht auch mit Quellenangaben) zu beantworten. Verbesserungsvorschläge sind natürlich auch herzlich willkommen.